ACN pubblica le FAQ su monitoraggio, vigilanza ed esecuzione NIS2

Premessa

L’11 agosto 2026 l’Agenzia per la Cybersicurezza Nazionale (di seguito “ACN” o “l’Agenzia”) ha pubblicato sul proprio portale istituzionale una nuova sezione delle Frequently Asked Questions dedicata alla disciplina NIS2, identificata con il prefisso “MVE” (Monitoraggio, Vigilanza, Esecuzione). Le cinque FAQ — numerate da MVE.1 a MVE.5 — costituiscono un documento di soft law che, pur privo di natura vincolante in senso tecnico, riveste un ruolo interpretativo rilevante: esse provengono dall’Autorità nazionale competente NIS ai sensi del decreto legislativo 4 settembre 2024, n. 138, di recepimento della direttiva (UE) 2022/2555 (NIS2), e chiariscono modalità, principi e ambiti dell’azione di supervisione nei confronti dei soggetti essenziali, dei soggetti importanti e delle pubbliche amministrazioni rientranti nel perimetro di applicazione.

Le norme direttamente coinvolte sono, sul piano europeo, gli articoli da 31 a 37 della direttiva NIS2 — dedicati rispettivamente alla supervisione e all’esecuzione nei confronti dei soggetti essenziali e importanti — nonché, sul piano nazionale, il decreto legislativo n. 138/2024 nelle sue disposizioni relative alla vigilanza (Capo IV) e al regime sanzionatorio (Capo V). Il documento si inserisce in una fase cruciale: la maggior parte dei soggetti inclusi nei registri nazionali ha completato o sta completando la fase di registrazione, e il baricentro del sistema NIS2 si sposta progressivamente dall’adempimento formale alla verifica sostanziale della conformità.

Per il professionista della compliance — DPO, CISO, responsabile legale o consulente di data protection e cybersicurezza — comprendere la struttura dell’azione amministrativa di ACN non è un mero esercizio accademico ma il presupposto per impostare correttamente un programma di gestione del rischio regolatorio che tenga conto non solo degli obblighi tecnico-organizzativi, ma anche della probabilità e delle modalità con cui l’Autorità esercita i propri poteri.

—

Il quadro normativo di riferimento

La direttiva NIS2 e il modello europeo di supervisione

La direttiva (UE) 2022/2555, pubblicata nella Gazzetta Ufficiale dell’Unione Europea il 27 dicembre 2022 ed entrata in vigore il 16 gennaio 2023, ha ridisegnato in modo sostanziale il regime di cybersicurezza applicabile ai soggetti operanti in settori critici. Rispetto alla direttiva NIS1 (direttiva (UE) 2016/1148), il legislatore europeo ha operato scelte di campo nette: ampliamento del perimetro soggettivo con il meccanismo della soglia dimensionale (principio “size-cap rule”), bipartizione dei soggetti tra “essenziali” e “importanti”, potenziamento dei poteri di supervisione delle Autorità nazionali competenti e introduzione di un regime sanzionatorio minimo armonizzato.

Il Capo VII della direttiva — articoli da 31 a 37 — disciplina in dettaglio le misure di supervisione e di esecuzione. L’articolo 31 stabilisce il principio fondamentale: gli Stati membri assicurano che le Autorità competenti dispongano dei poteri necessari per vigilare sull’attuazione degli obblighi da parte dei soggetti essenziali e importanti. La norma prevede, in modo significativo, una distinzione tra supervisione ex ante e supervisione ex post: la prima è riservata ai soggetti essenziali, la seconda costituisce la modalità ordinaria nei confronti dei soggetti importanti.

L’articolo 32 della direttiva regola le misure di supervisione applicabili ai soggetti essenziali, prevedendo un catalogo esteso che comprende ispezioni in loco, audit di sicurezza, richieste di informazioni, accesso a dati e documenti, verifiche specifiche. L’articolo 33 disciplina le misure di supervisione applicabili ai soggetti importanti, con un perimetro più limitato — essenzialmente reattivo — che esclude le verifiche ex ante sistematiche. L’articolo 34 fissa, per le violazioni degli obblighi di cui agli articoli 21 e 23, i massimali sanzionatori minimi: almeno dieci milioni di euro o il due per cento del fatturato mondiale annuo totale, se superiore, per i soggetti essenziali; almeno sette milioni di euro o l’uno virgola quattro per cento del fatturato mondiale annuo totale, se superiore, per i soggetti importanti.

Il considerando 122 della direttiva chiarisce la ratio della differenziazione: i soggetti essenziali operano in settori di maggiore criticità per l’economia e la società, e giustificano pertanto un livello di supervisione più intenso e continuo. Tale distinzione non è meramente quantitativa — non si riduce ai massimali sanzionatori — ma è qualitativa, incidendo sulle modalità stesse con cui l’Autorità può esercitare i propri poteri.

Il decreto legislativo n. 138/2024 e il ruolo di ACN

Il recepimento della direttiva NIS2 nell’ordinamento italiano è avvenuto con il decreto legislativo 4 settembre 2024, n. 138, pubblicato nella Gazzetta Ufficiale n. 230 del 1° ottobre 2024. Il decreto ha attribuito ad ACN il ruolo di Autorità nazionale competente NIS unica, concentrando in capo a essa i poteri di supervisione e di esecuzione che la direttiva distribuisce — nelle sue previsioni — tra Autorità competenti e CSIRT nazionale. In Italia, ACN svolge entrambe le funzioni.

Il Capo V del decreto legislativo n. 138/2024 disciplina le attività di supervisione e vigilanza, riprendendo fedelmente la struttura binaria della direttiva ma adattandola al contesto nazionale. Il Capo V introduce il regime sanzionatorio, con la previsione — in conformità all’articolo 34 della direttiva — di massimali differenziati per soggetti essenziali, soggetti importanti e pubbliche amministrazioni. Quest’ultima categoria costituisce una specificità del recepimento italiano, che ha scelto di mantenere le PA all’interno del perimetro NIS2 — con obblighi e sanzioni proprie — piuttosto che escluderle o assoggettarle integralmente al regime ordinario.

Va detto che il decreto legislativo n. 138/2024 ha delegato ad ACN la definizione di numerosi profili attuativi attraverso atti di natura regolamentare e linee guida. Le FAQ MVE si inseriscono in questo spazio normativo come strumento di chiarimento operativo: esse non creano obblighi nuovi né modificano il testo normativo, ma forniscono l’orientamento interpretativo dell’Autorità rispetto a profili che il testo di legge lascia indeterminati o che richiedono un’applicazione contestualizzata.

Il rapporto con il GDPR e la disciplina della protezione dei dati

Il perimetro della NIS2 e quello del GDPR si sovrappongono in modo significativo per la maggior parte dei soggetti obbligati. La direttiva stessa — all’articolo 2, paragrafo 12 — chiarisce che le sue disposizioni si applicano “fatte salve” le norme del regolamento (UE) 2016/679. In termini pratici, un incidente di sicurezza che determina una violazione dei dati personali fa scattare simultaneamente gli obblighi di notifica previsti dall’articolo 33 del GDPR (notifica al Garante entro 72 ore) e quelli previsti dalla NIS2 (notifica ad ACN nelle forme e nei termini stabiliti dal decreto n. 138/2024). I due regimi sanzionatori sono distinti e cumulabili.

Per il DPO, questa sovrapposizione ha implicazioni concrete: il sistema di gestione della cybersicurezza richiesto dalla NIS2 deve essere progettato in modo da alimentare anche il registro dei trattamenti, la valutazione d’impatto e la documentazione relativa alle misure tecniche e organizzative ai sensi dell’articolo 32 del GDPR. L’integrazione dei due framework non è un’opzione organizzativa ma una necessità derivante dalla struttura stessa delle due discipline.

—

La struttura dell’azione di vigilanza secondo le FAQ MVE

MVE.1: I quattro pilastri del sistema di supervisione

La FAQ MVE.1 costituisce la chiave di volta dell’intera sezione. Essa definisce la struttura dell’azione di vigilanza ed esecuzione articolandola in quattro ambiti: monitoraggio, analisi e supporto; verifiche e ispezioni; misure di esecuzione; sanzioni amministrative pecuniarie e accessorie. Questa tassonomia non è casuale né meramente descrittiva: essa riflette una concezione della supervisione come processo graduale e progressivo, in cui l’escalation sanzionatoria costituisce l’extrema ratio piuttosto che la risposta immediata a qualsiasi inadempimento.

Il principio di gradualità — che la FAQ MVE.1 connette esplicitamente ai criteri di effettività, proporzionalità e dissuasività — è radicato nell’articolo 34 della direttiva NIS2, che al paragrafo 1 impone agli Stati membri di garantire che le sanzioni siano “effettive, proporzionate e dissuasive”. La FAQ traduce questo trittico in un modello operativo: l’Agenzia non parte dalla sanzione, ma dall’accompagnamento; interviene con misure coercitive solo quando il dialogo e il supporto si rivelano insufficienti.

Appare chiaro allo scrivente che questo approccio riflette una scelta di politica regolatoria ben precisa, condivisa da molte Autorità NIS europee: in una fase di prima applicazione della direttiva, in cui la consapevolezza degli obblighi è ancora disomogenea, un modello prevalentemente sanzionatorio rischierebbe di penalizzare i soggetti in buona fede senza produrre un reale miglioramento della postura di sicurezza del sistema paese. Il riferimento alle “peculiarità di ciascuna fattispecie” segnala peraltro che ACN intende esercitare un significativo margine di discrezionalità nell’applicazione dei propri poteri, con valutazioni caso per caso che tengano conto della dimensione del soggetto, della natura del settore, dell’entità e della reiterazione dell’inadempimento.

MVE.2: Il monitoraggio continuo come architettura di conoscenza

La FAQ MVE.2 descrive il primo pilastro — monitoraggio, analisi e supporto — con caratteri che meritano un’analisi approfondita. Il termine “sistematico e continuativo” non è una clausola di stile: esso implica che l’Agenzia ha costruito o sta costruendo infrastrutture informative permanenti per raccogliere dati sullo stato di attuazione degli obblighi NIS2. La piattaforma di registrazione obbligatoria, i questionari periodici sulle misure di sicurezza e le attività di threat intelligence del CSIRT nazionale concorrono a formare questo sistema di conoscenza.

La tripartizione interna al primo pilastro — monitoraggio, analisi, supporto — merita una lettura funzionale. Con il “monitoraggio” ACN acquisisce dati: dati di registrazione, dati sugli incidenti notificati, dati sui questionari di autovalutazione. Con l'”analisi” trasforma questi dati in conoscenza: identifica tendenze, carenze sistemiche, settori a maggiore rischio di inadempimento. Con il “supporto” trasferisce questa conoscenza ai soggetti obbligati: attraverso raccomandazioni, linee guida, circolari, sessioni di formazione, comunicazioni sul portale ACN. In termini più pragmatici, il supporto svolge una funzione preventiva: riduce l’asimmetria informativa tra regolatore e regolati, favorendo l’adempimento spontaneo e riducendo la necessità di interventi coercitivi.

Per i soggetti NIS, la FAQ MVE.2 ha implicazioni organizzative dirette. Il carattere sistematico e continuativo del monitoraggio significa che ogni interazione con ACN — ogni notifica di incidente, ogni aggiornamento del profilo di registrazione, ogni risposta a un questionario — costituisce un input nel sistema di conoscenza dell’Autorità. Di conseguenza, la qualità, la completezza e la coerenza delle informazioni trasmesse assumono un rilievo che va al di là dell’adempimento formale: esse concorrono a definire il profilo di rischio che ACN associa al singolo soggetto e, in definitiva, l’intensità della supervisione cui il soggetto sarà sottoposto.

MVE.3: La distinzione ex ante/ex post nell’attività ispettiva

La FAQ MVE.3 è probabilmente la più rilevante sotto il profilo tecnico-giuridico. Essa chiarisce che l’attività ispettiva può essere esercitata ex ante soltanto nei confronti dei soggetti essenziali. Questa affermazione riprende e chiarisce la distinzione tra articolo 32 e articolo 33 della direttiva NIS2, che costituisce uno degli elementi di maggiore novità rispetto alla direttiva NIS1.

La supervisione ex ante comporta che l’Autorità può effettuare verifiche, ispezioni e audit indipendentemente da qualsiasi segnale di inadempimento o da qualsiasi incidente notificato. Si tratta di un potere di accertamento preventivo — e in questo senso strutturalmente invasivo — che giustifica la sua limitazione ai soli soggetti essenziali: si pensi agli operatori di infrastrutture critiche nel settore energetico, dei trasporti, del settore bancario, delle infrastrutture dei mercati finanziari, del settore sanitario, dell’acqua potabile, delle acque reflue, dell’infrastruttura digitale, della gestione dei servizi ICT. Per questi soggetti, un inadempimento rilevato solo ex post potrebbe avere conseguenze sistemiche irreversibili.

La supervisione ex post, che costituisce la modalità ordinaria per i soggetti importanti, non significa assenza di vigilanza. Essa significa che l’Agenzia interviene con verifiche e ispezioni in presenza di elementi che le fanno ritenere necessario un accertamento: una notifica di incidente, una segnalazione di terzi, le risultanze del monitoraggio continuativo, informazioni acquisite da autorità di altri Stati membri nell’ambito del quadro di cooperazione NIS2. In sostanza, il trigger dell’attività ispettiva sui soggetti importanti è un elemento di allerta, non la mera appartenenza alla categoria.

Per i soggetti importanti, questo regime ha implicazioni strategiche. La probabilità di essere oggetto di un’ispezione è correlata alla visibilità del soggetto nel sistema di monitoraggio di ACN: un soggetto che notifica prontamente gli incidenti, risponde tempestivamente ai questionari e partecipa attivamente alle iniziative di supporto dell’Agenzia costruisce un profilo di collaborazione che, pur non escludendo ispezioni, le rende meno probabili in assenza di segnali specifici di criticità. Al contrario, un soggetto che presenta ripetuti ritardi nelle notifiche, omissioni nei questionari o incoerenze nei dati trasmessi accresce la probabilità di un intervento ispettivo.

MVE.4: Le misure di esecuzione come strumento di conformità guidata

La FAQ MVE.4 descrive il terzo pilastro del sistema: le misure di esecuzione. Esse si distinguono concettualmente dalle sanzioni — che costituiscono il quarto e ultimo pilastro — perché la loro finalità non è punitiva ma conformativa. Attraverso intimazioni e diffide, ACN richiede al soggetto inadempiente di: conformare la propria condotta agli obblighi; rimediare alle carenze accertate; far cessare le condotte assunte in violazione.

Questa tripartizione funzionale corrisponde a tre diverse tipologie di inadempimento. La “conformazione della condotta” si riferisce a situazioni in cui il soggetto non ha ancora adottato le misure richieste: si tratta di un ordine di fare. Il “rimedio alle carenze accertate” si riferisce a situazioni in cui il soggetto ha adottato misure insufficienti o inadeguate: si tratta di un ordine di fare meglio. La “cessazione delle condotte in violazione” si riferisce a situazioni in cui il soggetto sta attivamente ponendo in essere comportamenti contrari agli obblighi: si tratta di un ordine di cessare.

In termini di logica procedurale, le misure di esecuzione costituiscono l’ultimo stadio prima della sanzione. Esse presuppongono che l’Agenzia abbia già acquisito elementi sufficienti — attraverso il monitoraggio, l’analisi e/o l’attività ispettiva — per ritenere sussistente un inadempimento, e che il supporto offerto non sia stato sufficiente a determinare la conformità spontanea. La progressione monitoraggio → ispezione → misura di esecuzione → sanzione è la sequenza tipica del procedimento di vigilanza NIS2, anche se la FAQ MVE.1 precisa che l’approccio è “basato sul rischio” e che l’Agenzia tiene conto delle peculiarità di ciascuna fattispecie: nulla esclude, in presenza di violazioni gravi, un’accelerazione della sequenza.

Il termine “intimazione” richiama un istituto tipico del diritto amministrativo italiano, con carattere ordinatorio e termine per adempiere. La “diffida” ha invece un valore aggiuntivo di messa in mora formale, che costituisce di regola il presupposto per l’applicazione delle sanzioni successive. La distinzione tra i due strumenti, che la FAQ MVE.4 non esplicita ulteriormente, è destinata a essere chiarita dalla prassi applicativa dell’Agenzia e, eventualmente, dalla giurisprudenza amministrativa.

MVE.5: Il regime sanzionatorio differenziato

La FAQ MVE.5 affronta il tema sanzionatorio, chiarendo che l’entità delle sanzioni pecuniarie e l’ambito delle misure accessorie variano a seconda che il soggetto sia essenziale, importante o una pubblica amministrazione. Questa tripartizione — che riprende la distinzione già operata dalla direttiva NIS2, integrando la categoria delle pubbliche amministrazioni come terza fattispecie autonoma — è il cuore del regime sanzionatorio NIS2 italiano.

Il decreto legislativo n. 138/2024 ha recepito i massimali previsti dall’articolo 34 della direttiva con una modulazione specifica per il contesto nazionale. Per i soggetti essenziali, le sanzioni amministrative pecuniarie per le violazioni degli obblighi in materia di misure di gestione dei rischi e di notifica degli incidenti possono raggiungere il massimale europeo minimo di dieci milioni di euro o il due per cento del fatturato mondiale annuo totale, se superiore. Per i soggetti importanti, per le medesime violazioni, il massimale è fissato in sette milioni di euro o all’uno virgola quattro per cento del fatturato mondiale annuo totale, se superiore. Per le pubbliche amministrazioni, il regime sanzionatorio presenta caratteristiche proprie che tengono conto della specificità del settore pubblico: in particolare, l’inapplicabilità del criterio del fatturato — che non ha significato per gli enti non commerciali — comporta l’adozione di massimali assoluti.

Le misure accessorie previste dalla direttiva — e recepite nel decreto n. 138/2024 — comprendono, tra l’altro, l’obbligo di comunicazione pubblica dell’inadempimento accertato e, nei casi più gravi riguardanti i soggetti essenziali, la possibilità di sospensione temporanea dei servizi o di interdizione temporanea degli organi direttivi responsabili dalle funzioni manageriali. Quest’ultima misura — prevista dall’articolo 32, paragrafo 5, della direttiva — costituisce una novità di grande impatto rispetto alla disciplina NIS1 e avvicina il regime NIS2 a quello dei settori finanziario e bancario, dove la responsabilità personale dei vertici è tradizionalmente più accentuata.

Si ritiene che la distinzione tra i regimi applicabili ai tre tipi di soggetti — essenziali, importanti e PA — non si esaurisca nel differenziale quantitativo delle sanzioni pecuniarie. Essa riflette una differente valutazione del rischio sistemico: i soggetti essenziali, operando in settori ad alta criticità, sono esposti a un regime di supervisione più intensa e a sanzioni più severe perché un loro inadempimento è suscettibile di produrre effetti a cascata sull’intera economia e società. Le pubbliche amministrazioni, d’altro canto, presentano specificità — assenza di fine di lucro, vincoli di bilancio pubblico, regime di responsabilità degli agenti pubblici — che richiedono adattamenti del regime ordinario.

—

Profili critici e questioni aperte

La natura giuridica delle FAQ e il principio del legittimo affidamento

Il primo profilo critico riguarda la natura giuridica delle FAQ MVE. Trattandosi di documenti di soft law — privi di forza normativa in senso tecnico — esse non possono derogare né integrare le disposizioni del decreto legislativo n. 138/2024, né introdurre obblighi non previsti dalla legge. Tuttavia, la loro provenienza dall’Autorità competente NIS le investe di un’autorevolezza interpretativa che ne condiziona l’applicazione pratica.

Il principio del legittimo affidamento — riconosciuto dall’articolo 1, comma 2-bis, della legge n. 241/1990, oltre che dalla giurisprudenza amministrativa consolidata — impone che il soggetto il quale abbia orientato la propria condotta conformemente alle indicazioni delle FAQ non possa essere sanzionato sulla base di un’interpretazione successivamente diversa adottata dall’Autorità. Questo principio, che opera in senso protettivo nei confronti del regolato, dovrebbe indurre ACN a un aggiornamento frequente e tempestivo delle FAQ qualora l’orientamento interpretativo dovesse evolvere.

Va detto, peraltro, che il carattere necessariamente generico delle FAQ — che descrivono la struttura del sistema senza entrare nei dettagli procedurali di ciascun tipo di procedimento — lascia margini di indeterminatezza significativi. La FAQ MVE.4, ad esempio, non precisa i termini procedurali delle intimazioni e delle diffide, né le garanzie del contraddittorio nei confronti del soggetto destinatario. Non si ha evidenza, alla data di pubblicazione delle FAQ, di un regolamento procedimentale che disciplini in dettaglio il procedimento di vigilanza ed esecuzione NIS2: colmare questa lacuna appare una priorità per garantire la prevedibilità dell’azione amministrativa e la tutela effettiva dei soggetti obbligati.

La gradualità come discrezionalità: vantaggi e rischi

Il modello basato sul rischio e sulla gradualità — che le FAQ MVE.1 e MVE.2 descrivono come il paradigma dell’azione di ACN — presenta vantaggi evidenti in termini di efficienza regolatoria. Concentrare le risorse ispettive sui soggetti a maggiore rischio e nei settori a maggiore criticità è razionale e proporzionato. Tuttavia, il rovescio della medaglia è una potenziale asimmetria applicativa: soggetti con profili di inadempimento comparabili potrebbero ricevere trattamenti differenti in funzione della loro visibilità nel sistema di monitoraggio, delle loro dimensioni o del settore di appartenenza.

Secondo il parere di chi scrive, la questione della parità di trattamento tra soggetti NIS è destinata a diventare uno dei temi più delicati della fase applicativa. Un regime sanzionatorio che lascia ampia discrezionalità all’Autorità richiede che essa si doti di criteri trasparenti per l’esercizio di tale discrezionalità: la pubblicazione di linee guida sul procedimento sanzionatorio — analoghe a quelle adottate dal Garante per la protezione dei dati personali in materia GDPR — appare auspicabile, anche alla luce del principio di prevedibilità dell’azione amministrativa sancito dall’articolo 97 della Costituzione.

L’interazione con la responsabilità degli organi direttivi

La FAQ MVE.5, nel menzionare le misure accessorie, tocca implicitamente un tema di grande rilevanza per la governance d’impresa: la responsabilità personale dei componenti degli organi direttivi. La direttiva NIS2 — all’articolo 20 — prevede obblighi espliciti a carico degli organi di gestione in materia di approvazione e supervisione delle misure di gestione del rischio di cybersicurezza. L’articolo 20, paragrafo 1, stabilisce che “gli Stati membri assicurano che gli organi di gestione dei soggetti essenziali e importanti approvino le misure di gestione dei rischi di cybersicurezza adottate da tali soggetti per conformarsi all’articolo 21, sovraintendano alla sua attuazione”.

Il decreto legislativo n. 138/2024 ha recepito questo principio, attribuendo agli organi di gestione una responsabilità non delegabile in materia di cybersicurezza. Le misure accessorie previste per i soggetti essenziali — tra cui la possibile interdizione temporanea degli organi direttivi — rendono questa responsabilità non più teorica. Per le imprese che ricadono nella categoria dei soggetti essenziali, l’adeguatezza del sistema di governance della cybersicurezza — inclusa la formazione degli organi direttivi prevista dall’articolo 20, paragrafo 2, della direttiva — è un presidio tanto organizzativo quanto di tutela della responsabilità personale dei manager.

Il coordinamento con altre autorità di settore

Un profilo critico di carattere sistematico riguarda il coordinamento tra ACN e le altre autorità di vigilanza settoriali. Per i soggetti operanti nel settore finanziario, ad esempio, la supervisione NIS2 si sovrappone alla vigilanza di Banca d’Italia, IVASS o Consob. Per i soggetti operanti nel settore della salute, la supervisione NIS2 interagisce con quella del Ministero della Salute e delle Autorità regionali. Per i soggetti che trattano dati personali — la quasi totalità — il raccordo con il Garante per la protezione dei dati personali è strutturale.

La direttiva NIS2 prevede meccanismi di cooperazione tra le Autorità competenti NIS e le Autorità di supervisione del settore finanziario, e all’articolo 35 stabilisce che le Autorità NIS e le Autorità di protezione dei dati collaborano. Non si ha evidenza, allo stato, di accordi formalizzati tra ACN e le altre Autorità italiane che disciplinino i flussi informativi, la ripartizione delle competenze e la gestione dei casi di sovrapposizione. Si ritiene che la definizione di questi raccordi istituzionali sia una priorità per evitare duplicazioni procedimentali e contraddizioni interpretative a carico dei soggetti obbligati.

—

Adempimenti concreti per DPO, CISO e imprese

La sezione che segue traduce il quadro normativo e le indicazioni delle FAQ MVE in adempimenti operativi concreti. La progressione segue la logica del procedimento di vigilanza — dal monitoraggio alla sanzione — in modo che il professionista possa identificare le azioni preventive da compiere in ciascuna fase.

1. Mappatura della categoria di appartenenza: verificare con precisione se il soggetto rientra nella categoria dei soggetti essenziali, dei soggetti importanti o nella categoria delle pubbliche amministrazioni, anche avvalendosi del portale ACN e della documentazione tecnica disponibile sul sito dell’Agenzia. La categoria determina il regime di supervisione applicabile — ex ante o ex post — e il massimale sanzionatorio di riferimento. La mappatura deve essere documentata e aggiornata in caso di variazioni rilevanti (cambio di fatturato, variazioni organizzative, acquisizioni o cessioni di business).
2. Presidio del monitoraggio continuativo: designare un referente interno — che può coincidere con il CISO, il DPO o una figura dedicata alla compliance NIS2 — responsabile dell’interazione con ACN per le attività di monitoraggio. Questo referente deve garantire la tempestività e la completezza delle risposte ai questionari periodici, la coerenza tra i dati trasmessi in occasioni diverse e la tracciabilità documentale delle informazioni fornite all’Agenzia.
3. Sistema di notifica degli incidenti: implementare o aggiornare le procedure interne per la notifica degli incidenti significativi ad ACN, assicurando l’allineamento con le tempistiche previste dal decreto legislativo n. 138/2024 e con le linee guida operative di ACN disponibili sul portale istituzionale. Verificare il coordinamento con le procedure di notifica delle violazioni dei dati personali al Garante ai sensi dell’articolo 33 del GDPR, evitando duplicazioni e garantendo la coerenza tra le due notifiche quando si riferiscono allo stesso evento.
4. Programma di misure di sicurezza documentate: costruire e mantenere aggiornato un sistema documentale che dimostri l’adozione delle misure di gestione del rischio di cybersicurezza previste dall’articolo 21 della direttiva NIS2 e dalle norme di recepimento. Questo sistema deve includere: politiche di sicurezza approvate dall’organo di gestione, risultanze delle analisi del rischio, evidenze dei test e delle verifiche periodiche, registro delle vulnerabilità identificate e dei remediation plan. La documentazione non è un adempimento fine a se stesso: è la principale evidenza difensiva in caso di ispezione.
5. Formazione degli organi direttivi: organizzare sessioni di formazione specifiche per i componenti del consiglio di amministrazione, del collegio sindacale e degli altri organi di gestione sulla disciplina NIS2, sugli obblighi che essa impone agli organi stessi ai sensi dell’articolo 20 della direttiva e sulle responsabilità che derivano dalla sua violazione. La formazione deve essere documentata — con verbali o attestati — per costituire evidenza dell’adempimento dell’obbligo formativo.
6. Procedura di risposta alle ispezioni: predisporre una procedura interna che disciplini le modalità di risposta in caso di ispezione di ACN, identificando i soggetti autorizzati a interagire con i funzionari ispettivi, le modalità di raccolta e trasmissione dei documenti richiesti, i criteri per la valutazione della rispondenza delle richieste ispettive ai poteri di legge dell’Autorità e i canali di comunicazione con i consulenti legali. Per i soggetti essenziali — esposti alla supervisione ex ante — questa procedura ha carattere di urgenza.
7. Gestione delle misure di esecuzione: in caso di ricezione di un’intimazione o di una diffida da parte di ACN, attivare immediatamente le funzioni legali interne o esterne per la valutazione della legittimità del provvedimento e la definizione della strategia di risposta. Verificare i termini indicati nel provvedimento per l’adempimento e predisporre un piano di conformità documentato che dimostri la buona fede e la collaborazione del soggetto. La risposta tempestiva e documentata all’intimazione è un elemento che — nella logica della gradualità descritta dalle FAQ MVE — può influire significativamente sulla decisione di ACN in ordine all’applicazione delle sanzioni.
8. Audit periodici di conformità NIS2: integrare la NIS2 nel programma annuale di audit interno o commissionare audit specifici a soggetti terzi indipendenti, con frequenza almeno annuale. L’audit deve coprire sia i profili tecnici (misure di sicurezza delle reti e dei sistemi informativi) sia i profili organizzativi e documentali (governance, politiche, procedure, formazione, gestione degli incidenti). I risultati dell’audit — incluse le non conformità identificate e i remediation plan — devono essere portati all’attenzione dell’organo di gestione e conservati come documentazione difensiva.

Conclusioni: le questioni aperte e le prospettive evolutive

Le FAQ MVE pubblicate da ACN l’11 agosto 2026 rappresentano un contributo utile alla chiarezza del sistema NIS2, ma lasciano aperte questioni che l’evoluzione del quadro regolatorio dovrà affrontare.

La prima questione riguarda il procedimento sanzionatorio. Le FAQ descrivono la struttura del sistema ma non ne disciplinano il funzionamento interno: termini procedurali, garanzie del contraddittorio, criteri per la determinazione concreta della sanzione all’interno della forchetta di legge, modalità di pubblicazione degli inadempimenti. L’adozione di un regolamento procedimentale da parte di ACN — o di linee guida specifiche sul procedimento sanzionatorio — appare necessaria per colmare questa lacuna e per garantire la prevedibilità dell’azione amministrativa.

La seconda questione riguarda il coordinamento istituzionale. La sovrapposizione tra il perimetro NIS2 e quello del GDPR, del DORA (per i soggetti del settore finanziario), della CER (direttiva sulle entità critiche) e di altre normative di settore richiede meccanismi formali di raccordo tra ACN e le altre Autorità di supervisione. In assenza di tali meccanismi, il rischio di procedimenti paralleli e contraddittori, con duplicazione degli oneri a carico dei soggetti obbligati, è concreto.

La terza questione riguarda l’evoluzione del regime per le pubbliche amministrazioni. La scelta italiana di mantenere le PA all’interno del perimetro NIS2 con un regime sanzionatorio proprio è coraggiosa ma pone problemi applicativi specifici: come si determina la sanzione pecuniaria in assenza del parametro del fatturato? Come si concilia l’interdizione degli organi direttivi con il regime di responsabilità degli agenti pubblici? Come si gestisce la comunicazione pubblica dell’inadempimento per un ente pubblico senza produrre effetti distorsivi? Queste domande rimangono, allo stato, senza risposta definitiva.

La quarta questione riguarda la maturità del sistema nel suo complesso. Il modello basato sul rischio e sulla gradualità funziona bene quando le capacità di monitoraggio dell’Autorità sono adeguate alla complessità e alla numerosità dei soggetti supervisionati. Il numero di soggetti NIS2 registrati in Italia — che dovrebbe attestarsi su diverse migliaia, tra soggetti essenziali e importanti — è significativo, e la capacità di ACN di esercitare una supervisione effettiva e differenziata su tutti questi soggetti dipenderà in larga misura dalle risorse umane e tecnologiche di cui l’Agenzia potrà disporre. Non si ha evidenza, alla data di pubblicazione del presente articolo, di una valutazione pubblica da parte di ACN della propria capacità di supervisione rispetto alla dimensione del perimetro soggettivo NIS2: tale valutazione sarebbe utile non solo per la pianificazione interna dell’Agenzia, ma anche per consentire ai soggetti obbligati di calibrare le proprie aspettative rispetto all’intensità della supervisione cui saranno concretamente esposti.

Per quanto di stretto interesse in questa sede, si ritiene che le FAQ MVE segnino comunque un passo importante verso la definizione di un sistema di supervisione NIS2 più trasparente e prevedibile. Il fatto che ACN abbia scelto di chiarire la struttura del proprio approccio prima di esercitarlo in modo sistematico — piuttosto che lasciare che emergesse dalla prassi applicativa — è coerente con il principio di leale collaborazione tra regolatore e regolati che dovrebbe caratterizzare la fase di prima applicazione di una disciplina strutturalmente nuova e di grande impatto. Sarà la prassi applicativa dei mesi e degli anni a venire a confermare o a smentire questa impostazione.